Per­sónu­vernd­ar­stefna

Mos­fells­bær ein­set­ur sér að tryggja áreið­an­leika, trún­að og ör­yggi við vinnslu per­sónu­upp­lýs­inga.

Per­sónu­vernd­ar­stefna Mos­fells­bæj­ar lýs­ir vinnslu Mos­fells­bæj­ar á per­sónu­upp­lýs­ing­um.

Mos­fells­bær mun auk þess leit­ast við að veita þeim ein­stak­ling­um sem vinnsla per­sónu­upp­lýs­ing­ar nær yfir nán­ari fræðslu um með­ferð per­sónu­upp­lýs­inga.

Með stefn­unni  legg­ur Mos­fells­bær áherslu á mik­il­vægi per­sónu­vernd­ar við alla vinnslu á per­sónu­upp­lýs­ing­um eins og þær eru skil­greind­ar í lög­um.

Stefn­an gild­ir um sér­hverja vinnslu per­sónu­upp­lýs­inga í skiln­ingi l. 90/2018, í allri starf­semi á veg­um Mos­fells­bæj­ar, þ.m.t. stofn­ana og nefnda á veg­um Mos­fells­bæj­ar sem og í með­ferð starfs­manna, kjör­inna full­trúa og nefnd­ar­manna á per­sónu­upp­lýs­ing­um.

Per­sónu­upp­lýs­ing­ar í skiln­ingi per­sónu­vernd­ar­stefnu þess­ar­ar eru hvers kyns upp­lýs­ing­ar um per­sónu­greind­an eða per­sónu­grein­an­leg­an ein­stak­ling, þ.e. upp­lýs­ing­ar sem hægt er að rekja beint eða óbeint til ákveð­ins ein­stak­lings. Upp­lýs­ing­ar sem eru óper­sónu­grein­an­leg­ar teljast ekki per­sónu­upp­lýs­ing­ar. Um nán­ari skil­grein­ingu á því hvað telj­ist per­sónu­upp­lýs­ing­ar og hvað telj­ist við­kvæm­ar per­sónu­upp­lýs­ing­ar vís­ast til 2. og 3. tl. 3. gr. l. 90/2018.

Und­ir hug­tak­ið vinnsla fell­ur öll notk­un og með­ferð per­sónu­upp­lýs­inga, s.s. söfn­un, skrán­ing, varð­veisla og eyð­ing, sbr. 4. tl. 3. gr. l. 90/2018.

Per­sónu­vernd­ar­full­trúi Mos­fells­bæj­ar er tengi­lið­ur vegna er­inda sem varða per­sónu­upp­lýs­ing­ar og með­ferð þeirra, hvort sem um er að ræða fyr­ir­spurn­ir, ósk um að­g­ang að slík­um upp­lýs­ing­um, ósk um breyt­ing­ar eða eyð­ingu gagna, sbr. 7. gr. per­sónu­vernd­ar­stefnu þess­ar­ar.

Hægt er að hafa sam­band við per­sónu­vernd­ar­full­trúa Mos­fells­bæj­ar með því að senda hon­um tölvu­póst á net­fang­ið per­sonu­vernd[hja]mos.is eða hringja í síma 525 6700. Þá er hægt að senda póst merkt­an per­sónu­vernd­ar­full­trúa til Mos­fells­bæj­ar, Þver­holti 2, 270 Mos­fells­bæ.

Leit­ast skal við að bregð­ast við öll­um fyr­ir­spurn­um inn­an mán­að­ar frá við­töku þeirra. Sé um að ræða um­fangs­mikla eða flókna beiðni mun Mos­fells­bær upp­lýsa um að ekki verði brugð­ist við beiðni inn­an fram­an­greindra tíma­marka. Ætíð skal leit­ast við að svara inn­an þriggja mán­aða frá við­töku á beiðni.

Ef ein­stak­ling­ur hef­ur at­huga­semd­ir við vinnslu Mos­fells­bæj­ar á per­sónu­upp­lýs­ing­um hans get­ur hann jafn­framt sent er­indi til Per­sónu­vernd­ar.

Mos­fells­bær býr á hverj­um tíma yfir per­sónu­upp­lýs­ing­um er tengjast starf­semi bæj­ar­ins og kunna að inni­halda við­kvæm­ar per­sónu­upp­lýs­ing­ar sem ber að vernda sér­stak­lega. Hags­mun­ir skráðra að­ila, sem tengjast mál­um er upp­lýs­ing­arn­ar varða, gætu skað­ast ef upp­lýs­ing­arn­ar kom­ast í hend­ur ann­arra en lög­mætra við­tak­enda, eru rang­ar eða eru ekki að­gengi­leg­ar þeg­ar þeirra er þörf.

Mos­fells­bær ein­set­ur sér að vernda per­sónu­upp­lýs­ing­ar sem bær­inn varð­veit­ir og vinn­ur með gegn ógn­un­um, inn­an frá og utan, vís­vit­andi og óvilj­andi. Þann­ig verð­ur leit­ast við að tryggja sem best gögn og upp­lýs­inga­kerfi gegn óheim­il­um að­gangi, notk­un, breyt­ing­um, upp­ljóstrun, eyði­legg­ingu, tapi eða flutn­ingi.

Mos­fells­bær leit­ast við að tryggja að ein­göngu að­il­ar, sem til þess hafa heim­ild, hafi að­g­ang að upp­lýs­ing­um hjá sveit­ar­fé­lagi og bún­aði tengd­um þeim.

Mos­fells­bær leit­ast við að tryggja að upp­lýs­ing­ar sem skráð­ar eru hjá sveit­ar­fé­lag­inu séu rétt­ar og ná­kvæm­ar á hverj­um tíma. Rang­ar, vill­andi, ófull­komn­ar eða úr­elt­ar upp­lýs­ing­ar séu leið­rétt­ar, þeim eytt eða við þær auk­ið þeg­ar slíkt upp­götv­ast og hald­ið uppi reglu­bundnu eft­ir­liti í þeim til­gangi.

Mos­fells­bær leit­ast við að tryggja að upp­lýs­ing­ar skráð­ar hjá því séu að­gengi­leg­ar þeim sem hafa heim­ild og þurfa að nota þær þeg­ar þeirra er þörf. Þá skulu einn­ig vera til stað­ar við­bragðs­áætlun og afrit sem geymd eru á ör­ugg­um stað svo unnt sé að end­ur­reisa með sem best­um hætti gögn og kerfi sem kunna að eyði­leggjast.

Mos­fells­bær skal ein­göngu safna og varð­veita upp­lýs­ing­ar sem eru nauð­syn­leg­ar og við­eig­andi með hlið­sjón af til­gangi vinnsl­unn­ar hverju sinni. Þann­ig er ólík­um per­sónu­upp­lýs­ing­um safn­að í ólík­um til­vik­um og fer vinnsla og söfn­un á per­sónu­upp­lýs­ing­um eft­ir eðli sam­bands­ins sem er á milli Mos­fells­bæj­ar og við­kom­andi ein­stak­lings.

Mos­fells­bær afl­ar að mestu per­sónu­upp­lýs­inga beint frá þeim ein­stak­lingi sem upp­lýs­ing­arn­ar varða. Við til­tekn­ar að­stæð­ur geta upp­lýs­ing­arn­ar þó kom­ið frá þriðja að­ila, t.d. Þjóð­skrá, heil­brigð­is­stofn­un eða öðr­um þriðja að­ila. Þeg­ar upp­lýs­inga er aflað frá þriðja að­ila mun Mos­fells­bær leit­ast við að upp­lýsa um slíkt, eft­ir því sem við á.

Öll vinnsla Mos­fells­bæj­ar á per­sónu­upp­lýs­ing­um skal fara fram í skýr­um til­gangi og byggjast á lög­mæt­um grund­velli sam­kvæmt l. 90/2018. Gæta skal að því að per­sónu­upp­lýs­ing­ar séu ekki unn­ar frek­ar á þann hátt að vinnsl­an sé ósam­rýman­leg hinum upp­runa­lega til­gangi vinnsl­unn­ar. Mos­fells­bær legg­ur áherslu á að ekki sé geng­ið lengra í vinnslu per­sónu­upp­lýs­inga en þörf kref­ur, til að ná því mark­miði sem stefnt er að með vinnsl­unni.

Mos­fells­bær safn­ar og vinn­ur t.a.m. per­sónu­upp­lýs­ing­ar um: a) íbúa, aðra skjól­stæð­inga og not­end­ur þjón­ustu Mos­fells­bæj­ar og stofn­anna Mos­fells­bæj­ar b) starfs­fólk Mos­fells­bæj­ar c) ein­stak­linga sem eru í sam­skipt­um við Mos­fells­bæ d) við­skipta­menn og tengi­liði þerra, þ.m.t. birgja, verktaka og ráð­gjafa og e) stofn­an­ir og aðra lög­að­ila sem Mos­fells­bær er í samn­ings­sam­bandi við og tengi­liði þeirra að­ila.

Við ákveðn­ar kring­um­stæðr safn­ar sveit­ar­fé­lag­ið við­kvæm­um per­sónu­upp­lýs­ing­um, s.s. um heilsu­far, trú­ar­brögð, að­ild að stétt­ar­fé­lagi og þjóð­ern­is­leg­an upp­runa. Sér­stök að­gát skal höfð við vinnslu slíkra upp­lýs­inga.

Mos­fells­bær safn­ar per­sónu­upp­lýs­ing­um fyrst og fremst til að geta upp­fyllt skyld­ur sín­ar á grund­velli laga sem gilda um rekst­ur og þjón­ustu sveit­ar­fé­laga.

Mos­fells­bær safn­ar einn­ig per­sónu­upp­lýs­ing­um vegna samn­ings­sam­bands sem Mos­fells­bær er í, t.d. við starfs­fólk eða verktaka, eða til að koma slíku samn­ings­sam­bandi á.

Þar sem Mos­fells­bær er op­in­ber að­ili get­ur vinnsla jafn­framt ver­ið nauð­syn­leg við beit­ingu op­in­bers valds.

Vinnsla get­ur byggt á sam­þykki hinna skráðu, t.d. vegna mynd­birt­inga í skól­um, leik­skól­um, frí­stunda­mið­stöðv­um eða á öðr­um slík­um vett­vangi.

Vinnsla get­ur jafn­fram byggt á lög­mæt­um hags­mun­um, t.d. vegna eft­ir­lits í ör­ygg­is- og eigna­vörslu­skyni.

Mos­fells­bær skal tryggja að heim­ild sé fyr­ir vinnslu per­sónu­upp­lýs­inga. Slík heim­ild get­ur ver­ið byggð á lög­um, upp­lýstu sam­þykki, samn­ingi, vegna brýnna hags­muna eða ann­arra lög­mætra hags­muna.

Sé vinnsla per­sónu­upp­lýs­inga byggð á sam­þykki, skal gæta þess að afla upp­lýsts sam­þykk­is hjá skráð­um að­ila, sem er gef­ið af fús­um og frjáls­um vilja. Beiðni um sam­þykki skal sett fram á auð­grein­an­leg­an hátt og á skilj­an­legu og að­gengi­legu formi og á skýru og ein­földu máli.

Skráð­ur ein­stak­ling­ur á rétt á að draga sam­þykki sitt til baka hvenær sem er. Aft­ur­köllun sam­þykk­is skal ekki hafa áhrif á lög­mæti vinnslu á grund­velli sam­þykk­is fram að aft­ur­köll­un­inni.

Mos­fells­bær kann að miðla per­sónu­upp­lýs­ing­um milli ólíkra stofn­anna og/eða deilda og til þriðja að­ila. Þriðju að­il­ar sem veita Mos­fells­bæ upp­lýs­inga­tækni­þjón­ustu geta þann­ig haft að­g­ang að per­sónu­upp­lýs­ing­um, en Mos­fells­bæ kann einn­ig að vera skylt sam­kvæmt lög­um að af­henda þriðja að­ila per­sónu­upp­lýs­ing­ar.

Mos­fells­bær sem­ur ein­göngu við ut­an­að­kom­andi að­ila sem tryggja ör­yggi per­sónu­upp­lýs­inga sem þeir vinna með fyr­ir hönd sveit­ar­fé­lags­ins. Þá mun Mos­fells­bær ekki miðla per­sónu­upp­lýs­ing­um utan Evr­ópska efna­hags­svæð­is­ins nema slíkt sé heim­ilt á grund­velli við­eig­andi per­sónu­vernd­ar­lög­gjaf­ar.

Ein­stak­ling­ar hafa rétt til að vita hvaða per­sónu­upp­lýs­ing­ar Mos­fells­bær vinn­ur um þá og geta eft­ir at­vik­um óskað eft­ir af­riti af upp­lýs­ing­un­um. Þá geta ein­stak­ling­ar feng­ið rang­ar per­sónu­upp­lýs­ing­ar um sig leið­rétt­ar og í ein­staka til­vik­um per­sónu­upp­lýs­ing­um um sig eytt. Jafn­framt geta ein­stak­ling­ar í ákveðn­um til­vik­um mót­mælt vinnslu per­sónu­upp­lýs­inga og óskað eft­ir því að vinnsla þeirra verði tak­mörk­uð. Ein­stak­ling­ur get­ur einn­ig átt rétt á að fá per­sónu­upp­lýs­ing­ar sín­ar (eða afrit þeirra) af­hend­ar til sín á tölvu­tæku formi eða að þær (eða afrit þeirra) verði flutt­ar beint til þriðja að­ila.

Mos­fells­bær stuðl­ar að virkri ör­yggis­vit­und starfs­manna, kjör­inna full­trúa og nefnd­ar­manna,  m.a. með fræðslu. Starf­semi Mos­fells­bæj­ar og starfs­hætt­ir starfs­manna, kjör­inna full­trúa og nefnd­ar­manna skal vera til fyr­ir­mynd­ar hvað varð­ar upp­lýs­inga­ör­yggi.

Starfs­menn, kjörn­ir full­trú­ar og nefnd­ar­menn sem hafa að­g­ang að per­sónu­upp­lýs­ing­um og þeir vinnslu­að­il­ar, sem koma að rekstri upp­lýs­inga­kerfa á veg­um Mos­fells­bæj­ar, skulu hafa að­g­ang að og þekkja til per­sónu­vernd­ar­stefnu þess­ar­ar.

Um þagn­ar­skyldu starfs­manna vís­ast til 2. mgr. 57. gr. sveit­ar­stjórn­ar­laga nr. 138/2011. Um þagn­ar­skyldu kjör­inna full­trúa og nefnd­ar­manna vís­ast til 4. mgr. 28. gr. sveit­ar­stjórn­ar­laga nr. 138/2011.

Við­ur­lög við per­sónu­vernd­ar­broti gagn­vart starfs­mönn­um geta fal­ist eft­ir at­vik­um í skrif­legri áminn­ingu eða brottrekstri, ef brot er stór­fellt.

Ábyrgð á þeirri vinnslu per­sónu­upp­lýs­inga sem fer fram inn­an Mos­fells­bæj­ar er mis­mun­andi eft­ir því á hvaða vett­vangi og í hvaða til­gangi vinnsl­an fer fram. Þann­ig eru stofn­an­ir t.a.m. ábyrgð­ar­að­il­ar þeirra per­sónu­upp­lýs­inga sem þær vinna.

Mos­fells­bær er af­hend­ing­ar­skyld­ur að­ili á grund­velli laga nr. 77/2014 um op­in­ber skjala­söfn. Mos­fells­bæ er óheim­ilt að ónýta eða farga nokkru skjali sem fell­ur und­ir gild­is­svið lag­anna, nema með heim­ild þjóð­skjala­varð­ar.

Mos­fells­bær hef­ur leið­bein­ing­ar- og upp­lýs­inga­skyldu gagn­vart al­menn­ingi og skráð­um að­il­um, hvað varð­ar vinnslu per­sónu­upp­lýs­inga. Mos­fells­bær skal hafa upp­lýs­ing­ar um fræðslu til al­menn­ings og skráðra að­ila á áber­andi stað á vef sín­um, á þjón­ustu­síð­um og í þjón­ustu­veri.

Mos­fells­bær kann að breyta per­sónu­vernd­ar­stefnu þess­ari í sam­ræmi við breyt­ing­ar á við­eig­andi lög­um og reglu­gerð­um eða vegna breyt­inga á því hvern­ig Mos­fells­bær vinn­ur með per­sónu­upp­lýs­ing­ar.

Per­sónu­vernd­ar­stefna þessi skal reglu­lega end­ur­skoð­uð með það að mark­mið­ið að tryggja sem besta fylgni við ákvæði l. 90/2018.

Verði gerð­ar breyt­ing­ar á per­sónu­vernd­ar­stefnu þess­ari verð­ur slíkt kynnt á vef Mos­fells­bæj­ar.

Per­sónu­vernd­ar­stefna þessi tek­ur gildi 19. júlí 2018.